Financijska institucija može imati napredne sigurnosne alate, vanjski SOC i usvojene politike, a ipak teško dokazati da sustavno upravlja kibernetičkim rizikom. Upravo tu NIS2 za financijski sektor mijenja perspektivu: više nije dovoljno tvrditi da kontrole postoje. Uprava, nadležna tijela i revizori očekuju jasan trag odgovornosti, dokaza, procjena i provedenih mjera.
Za banke, osiguravatelje, platne institucije, investicijska društva i njihove ključne dobavljače regulatorna slika nije jednaka u svakom slučaju. Dio subjekata primarno je obuhvaćen uredbom DORA, dok se za druge može primjenjivati Zakon o kibernetičkoj sigurnosti i zahtjevi koji proizlaze iz NIS2 okvira. Zato prvi zadatak nije kupnja novog alata niti pisanje još jedne politike. Prvi je zadatak točno utvrditi regulatorni položaj organizacije i pretvoriti ga u operativni plan.
NIS2 za financijski sektor nije samo IT obveza
NIS2 postavlja kibernetičku sigurnost kao pitanje upravljanja organizacijom. To posebno vrijedi u financijskom sektoru, gdje prekid digitalnih kanala, kompromitacija podataka ili kvar ključnog dobavljača može izazvati financijsku štetu, regulatorne posljedice i gubitak povjerenja klijenata u vrlo kratkom roku.
U praksi to znači da uprava ne može sigurnosne obveze u potpunosti prepustiti IT-u. Ona mora razumjeti glavne rizike, odobriti pristup upravljanju rizicima, osigurati resurse te pratiti provedbu korektivnih mjera. CISO, voditelj rizika, usklađenost, interna revizija, pravna služba i operativni timovi moraju raditi prema usklađenom modelu odgovornosti.
Najveća pogreška je tretirati usklađivanje kao jednokratni projekt. Regulatori ne procjenjuju samo dokument koji je izrađen prije godinu dana. Promatraju može li organizacija pokazati da redovito procjenjuje rizike, provjerava učinkovitost kontrola, upravlja neusklađenostima i djeluje kada se okolnosti promijene.
DORA i NIS2: prvo razjasnite primjenjivost
DORA je specifično usmjerena na digitalnu operativnu otpornost financijskih subjekata. Obuhvaća, među ostalim, upravljanje IKT rizicima, prijavu incidenata, testiranje digitalne operativne otpornosti i rizike povezane s vanjskim IKT pružateljima usluga. Za velik dio financijskih institucija ona je središnji regulatorni okvir.
NIS2 i hrvatski provedbeni okvir imaju širi sektorni doseg. U određenim situacijama financijski subjekt može biti izuzet od pojedinih NIS2 obveza zbog sektorskog propisa koji postiže usporediv učinak, ali takav se zaključak ne smije donositi prema nazivu djelatnosti ili pretpostavci. Potrebno je analizirati pravni status subjekta, konkretnu uslugu koju pruža, ulogu u lancu opskrbe i primjenjive sektorske zahtjeve.
To nije administrativna nijansa. Pogrešna procjena primjenjivosti može dovesti do dvije krajnosti: do nepotrebnog dupliciranja kontrola ili, ozbiljnije, do regulatorne praznine. Razuman pristup je izraditi jedinstvenu mapu zahtjeva DORA-e, Zakona o kibernetičkoj sigurnosti, ugovornih obveza i internih standarda. Tada se vidi koje se kontrole već provode, gdje nedostaju dokazi i koje su odgovornosti nejasne.
Što regulator i revizija žele vidjeti
Politike su potrebne, ali same po sebi nisu dokaz upravljanja sigurnošću. Organizacija mora moći povezati svaki važan zahtjev s konkretnom kontrolom, vlasnikom kontrole, dokazom provedbe i procjenom učinkovitosti. Ako se taj lanac prekine, usklađenost ostaje teško dokaziva.
U financijskom sektoru posebno su važne sljedeće cjeline:
- upravljanje rizicima, uključujući redovito prepoznavanje prijetnji, procjenu utjecaja i praćenje plana obrade rizika
- upravljanje incidentima, s jasnim kriterijima eskalacije, evidentiranjem odluka, postupcima oporavka i obvezama izvješćivanja
- kontinuitet poslovanja i oporavak, testirani na scenarijima koji stvarno mogu ugroziti ključne financijske usluge
- sigurnost lanca opskrbe, osobito nadzor vanjskih IKT pružatelja, ugovorne sigurnosne odredbe i izlazne strategije
- upravljanje identitetima, pristupima, ranjivostima, zakrpama, enkripcijom i sigurnosnim zapisima
- edukacija zaposlenika i članova upravljačkih tijela, prilagođena njihovim stvarnim ulogama i rizicima.
Razina dubine ovisi o organizaciji. Manja platna institucija nema iste tehničke kapacitete ni profil rizika kao velika banka, ali mora pokazati proporcionalan i djelotvoran sustav upravljanja rizikom. Proporcionalnost nije izgovor za nepostojanje kontrole. Ona određuje opseg, učestalost i složenost mjera.
Od procjene stanja do provedivog plana
Najbrži put do kontrole nije početi od praznog predloška politika. Počinje strukturiranom procjenom trenutačnog stanja. Potrebno je identificirati ključne poslovne usluge, informacijske sustave koji ih podržavaju, vlasnike procesa, vanjske pružatelje usluga i postojeće sigurnosne kontrole.
Nakon toga zahtjeve treba prevesti u mjerljiva pitanja. Postoji li formalno odobren proces upravljanja rizicima? Jesu li rizici vezani uz kritične usluge ažurni? Imaju li dobavljači definirane sigurnosne obveze? Može li se dokazati kada je posljednji put testiran plan oporavka? Je li svaka neusklađenost dodijeljena odgovornoj osobi i ima li rok rješavanja?
Dobra procjena ne završava ocjenom usklađenosti. Ona stvara prioritetni plan. Kritične manjkavosti koje mogu ugroziti dostupnost usluga, zaštitu povjerljivih podataka ili pravodobno izvješćivanje rješavaju se prve. Zatim slijede mjere koje podižu zrelost procesa, poput standardizacije evidencija, ujednačavanja procjena dobavljača ili automatizacije prikupljanja dokaza.
Plan mora biti dovoljno konkretan da uprava može donijeti odluku o resursima. Umjesto općenite preporuke poput „poboljšati upravljanje incidentima”, koristan plan definira vlasnika aktivnosti, potrebni dokaz, rok, ovisnosti i očekivani rezultat. Takav pristup smanjuje rizik da akcijski plan ostane popis dobrih namjera.
Dokazi su operativna imovina, ne prilog reviziji
Financijske organizacije često izgube najviše vremena na traženje dokaza neposredno prije nadzora ili interne revizije. Zapisnici, izvješća o testiranju, evidencije edukacija, procjene dobavljača i odobrenja uprave tada su raspršeni po e-pošti, dijeljenim mapama i različitim sustavima.
Takav model stvara dva problema. Prvi je administrativno opterećenje. Drugi je rizik da organizacija ne može dokazati ono što je stvarno napravila. Kontrola bez pouzdanog i dostupnog dokaza za regulatornu procjenu često ima ograničenu vrijednost.
Zato je korisno uspostaviti središnji registar obveza, kontrola, dokaza i neusklađenosti. Svaki dokaz treba imati kontekst: na koji se zahtjev odnosi, tko ga je dostavio, kada je provjeren i pokazuje li potpunu ili djelomičnu provedbu kontrole. Evidencija također mora razlikovati postojanje dokumenta od njegove stvarne kvalitete i aktualnosti.
ITrevizija.hr omogućuje upravo takav operativni model: AI vođenu samoprocjenu, upravljanje dokazima, analizu dokumentacije, praćenje neusklađenosti i izradu plana usklađivanja. Time se regulatorni zahtjevi pretvaraju u pregledan radni sustav, bez dugotrajne konfiguracije tipične za kompleksne GRC projekte. Za financijske subjekte s osjetljivim podacima posebno su važni EU hosting, interne AI modele, enkripcija na razini polja i mogućnost implementacije u vlastitom okruženju kada to zahtijeva sigurnosna politika.
Uprava mora dobiti sliku, a timovi radni plan
Upravi nije potreban tehnički izvještaj od stotinu stranica bez prioriteta. Potreban joj je redovit, jasan pogled na razinu usklađenosti, ključne otvorene rizike, status korektivnih mjera, incidente i prepreke koje zahtijevaju poslovnu odluku.
Operativnim timovima, s druge strane, trebaju detalji: vlasnici aktivnosti, rokovi, povezana dokumentacija, dokaz provedbe i mogućnost eskalacije kašnjenja. Jedinstveni sustav izvješćivanja povezuje te dvije razine. On smanjuje ručno sastavljanje prezentacija i osigurava da uprava ne donosi odluke na temelju zastarjelih ili nepotpunih informacija.
Ovaj pristup pomaže i internoj reviziji. Umjesto da iznova prikuplja materijale iz više odjela, interna revizija može provjeravati sljedivost, kvalitetu dokaza i stvarnu učinkovitost kontrola. To ne ukida potrebu za stručnom prosudbom, ali značajno smanjuje vrijeme potrošeno na administraciju.
Kontinuirana spremnost je stvarna prednost
Kibernetički rizici ne čekaju rok za godišnje izvješće. Promjena ključnog dobavljača, nova digitalna usluga, ozbiljna ranjivost ili sigurnosni incident mogu trenutačno promijeniti profil rizika organizacije. Stoga usklađenost mora biti proces koji se održava, a ne mapa koja se otvara uoči nadzora.
Za financijski sektor najvrjedniji rezultat nije samo prolazak regulatorne provjere. To je sposobnost da organizacija u svakom trenutku zna koje kontrole djeluju, gdje postoje otvorene slabosti, tko je odgovoran za njihovo uklanjanje i kojim dokazima to može potkrijepiti. Kada je ta disciplina ugrađena u svakodnevni rad, regulatorna spremnost postaje posljedica dobrog upravljanja, a ne hitan projekt.